在宅ワーカーは要注意、家庭用ルータの脆弱性が企業のセキュリティを脅かす

家庭用ルータで「Misfortune Cookie」と呼ばれるセキュリティの脆弱性が広範囲に存在することが明らかになった。多くのデバイスが攻撃者によってコントロールされる可能性があるという。

公開 2015年02月13日 12時02分

著者

Brandan Blevins

[TechTarget]

印刷する Googleで優先するソースとして追加

　新たに発見された脆弱性により、約1200万台の家庭用ネットワークゲートウェイデバイスが攻撃を受け、家庭内ネットワークだけでなく、これらのネットワークを経由する企業データが危険にさらされる恐れがある。この脆弱性「CVE-2014-9222」を最初に発見したのは、イスラエルのネットワーク／エンドポイントセキュリティベンダーであるCheck Point Software Technologiesの研究者ライアー・オッペンハイム氏だ。「Misfortune Cookie」とも呼ばれるこの脆弱性は、10年以上前から存在する。特定のソフトウェアバージョンのHTTP cookieの管理メカニズムに含まれる欠陥が原因だ。

狙われるのは消費者の個人データだけではない

　Check Pointの投稿記事によると、この欠陥は、世界で最も普及している組み込み型Webサーバソフトウェアである「RomPager」の古いバージョンに起因するという。Misfortune Cookieの脆弱性は、200機種以上の家庭用ゲートウェイやSOHO（小規模オフィス／家庭オフィス）用ルータに影響する。Misfortune Cookieを利用すれば、悪質なHTTP cookieが含まれる1個のパケットを送信するだけで攻撃が可能だという。

　「ゲートウェイデバイスが感染すると、攻撃者はそのデバイスの管理者権限を手に入れた上で、インターネット接続を監視する、認証情報を盗む、コンピュータやタブレットなど、接続されたデバイスを攻撃する、といったことを実行できるようになる」とCheck Pointは指摘する。

　同社によると、企業が注意しなければならないのは、この脆弱性で危険にさらされるのが消費者の個人データだけではないということだ。企業のデータも、侵入されたゲートウェイデバイス経由で転送されると盗まれる恐れがあるという。

　「こうしたリスクの影響はプライバシーの侵害だけにとどまらない。デバイスにマルウェアをインストールし、設定に恒久的な変更を加えるといった攻撃を受ける恐れもある」とCheck Pointは記している。「WANとLANの間を自由に行き来できるということは、ゲートウェイが提供するファイアウォールや隔離機能を回避することを意味し、一般的な脅威モデルは通用しなくなる。例えば、攻撃者は家庭のWebカメラにアクセスしたり（デフォルトの認証情報がその手段に使われる可能性もある）、企業のバックアップ用NAS（Network Attached Storage）ドライブからデータを盗んだりできるかもしれない。

「自宅のセキュリティ対策」が必須に

　在宅勤務の従業員が増えてきたことで、家庭用ルータのセキュリティが企業にとっても現実的な問題になりつつある。米SANS Institute傘下のInternet Storm Centerは2015年、「TCPポート32764に対するプローブが急増しており、これは米Linksysのルータに存在するといわれるバックドアを狙った攻撃とみられている」と報告した。このバックドアの存在を明らかにしたのは、セキュリティ研究者のイーロイ・バンダーベーケン氏。米TechTargetのネットワークセキュリティエキスパートで米Principle Logicの情報セキュリティコンサルタントを務めるケビン・ビーバー氏は、こうした攻撃に対して「企業のセキュリティ担当者は、在宅勤務の従業員のIPアドレスをスキャンし、彼らの自宅にあるデバイスに脆弱性がないか確認すべきだ。脆弱性が見つかった場合は、デバイスをアップグレードするか買い換えるよう促す必要がある」と述べている。

　Check PointはMisfortune Cookieに対する防護策に関して「自宅のコンピュータに保存されている重要なファイルやドキュメントは全てパスワードで保護すること。また、Webブラウザの全ての処理に対してHTTPS暗号化を有効にすること」とアドバイスしている。

　この欠陥そのものに対処するには、影響を受けるハードウェアのベンダー（台湾のD-Link、中国のHuawei、台湾のEdimax、中国のZTEなど）がファームウェアをアップデートする必要がある。技術に詳しいユーザーであれば、安全性が確認されたサードパーティー製ファームウェアを使ってデバイスを書き換えるという手もある。Check Pointでは、Misfortune Cookie攻撃を受ける可能性がある200機種余りの家庭用ゲートウェイのメーカー全てに通知したとしている。

　だが、業界著名人のダン・ギア氏はここ数年「家庭用ルータ機器のメーカーはアップデートを提供するのが遅い。アップデートを全く提供しないメーカーもある」と何度も指摘している。RomPagerの開発元である米Allegro Softwareは2005年、自社のソフトウェアのアップデート版をメーカー各社に提供したが、Check Pointによると、脆弱性のある古いバージョンのソフトウェアを組み込んだデバイスが、今でも販売されているという。

　「これは深刻な問題であり、業界全体で解決する必要がある。今日のデバイスは全て、デフォルト設定でなくても、ソフトウェアのセキュアな自動更新機能を装備すべきだ」とCheck Pointは記している。

印刷する